Datenschutz, Compliance und der rechtliche Rahmen digitaler Werkzeuge

Der vorige Beitrag hat gezeigt, wie ein Projekt sich mit Governance selbst Regeln gibt, damit die aufgebaute Struktur verlässlich genutzt wird.

Diese Regeln kann das Projekt weitgehend nach eigenem Ermessen gestalten. Ein Teil der Regeln steht ihm aber nicht zur Wahl. Datenschutz, Compliance und rechtliche Vorgaben bilden einen Rahmen, den jedes digitale Werkzeug einhalten muss, ganz gleich, wie sinnvoll seine Nutzung sonst wäre.

Dieser Rahmen wird oft entweder übersehen oder überschätzt. Wer ihn übersieht, geht Risiken ein, deren Tragweite er nicht überblickt. Wer ihn überschätzt, erstarrt und traut sich an kein digitales Werkzeug mehr heran. Beide Haltungen führen in die Irre. Der rechtliche Rahmen dient der Orientierung, nicht der Lähmung. Du musst kein Jurist sein, um ihn zu beachten, aber du musst wissen, wo die Grenzen verlaufen und wann eine Frage in andere Hände gehört. Dieser Beitrag ordnet die wichtigsten Punkte für den Projektalltag.

Der rechtliche Rahmen als Orientierung

Der Rahmen ist da, ob man ihn beachtet oder nicht. Die Frage ist nur, ob man ihn kennt. Ein Projektleiter muss die einschlägigen Vorgaben nicht selbst auslegen können, aber er muss erkennen, wann eine Situation sie berührt. Diese Fähigkeit, die relevante Grenze zu bemerken, ist wichtiger als jedes auswendig gelernte Detail. Denn wer die Grenze bemerkt, kann handeln, sich rückversichern oder die Frage weitergeben. Wer sie übersieht, tut es nicht.

Damit verschiebt sich der Anspruch. Es geht nicht darum, den Rahmen in seiner ganzen Tiefe zu beherrschen, sondern darum, ihn im eigenen Handeln gegenwärtig zu halten und die Stellen zu erkennen, an denen es ernst wird.

Datenschutz im Projekt

Der greifbarste Teil dieses Rahmens ist der Datenschutz. Sobald ein Projekt mit personenbezogenen Daten arbeitet, gelten dafür klare Grundsätze. Der wichtigste ist die Zurückhaltung. Es werden nur die Daten erhoben und verarbeitet, die für den Zweck wirklich nötig sind, und nur so lange, wie sie gebraucht werden. Was nicht erhoben wird, kann auch nicht missbraucht werden oder verloren gehen.

Dazu kommt die Frage des Zugriffs. Wer personenbezogene Daten einsehen darf, folgt denselben Überlegungen wie die Rechte aus dem vorigen Beitrag, nur mit höherem Gewicht. Und schließlich zählt der Ort der Speicherung. Wo Daten liegen und wer sie technisch verwahrt, ist keine Nebensache, sondern Teil der Sorgfaltspflicht. Für den Projektalltag heißt das nicht, jede Rechtsfrage selbst zu lösen, sondern diese Fragen überhaupt zu stellen.

Compliance-Risiken erkennen und eskalieren

Die eigentliche Kompetenz im Umgang mit dem rechtlichen Rahmen liegt nicht darin, jede Frage selbst zu beantworten. Sie liegt darin, ein Risiko zu erkennen und es an die richtige Stelle zu bringen. Ein Projektleiter ist selten der Datenschutzbeauftragte oder der Jurist des Hauses, aber er ist derjenige, der als Erster bemerkt, dass eine geplante Nutzung heikel sein könnte.

Diese Eskalation ist kein Zeichen von Unsicherheit, sondern von Verantwortung. Wer eine Frage, die er nicht abschließend beurteilen kann, an die zuständige Stelle weitergibt, handelt richtig. Der Fehler ist nicht, eine Frage weiterzugeben, sondern sie aus Bequemlichkeit oder aus Sorge vor Aufwand liegen zu lassen. Eine Organisation, in der Risiken früh angesprochen werden, ist besser geschützt als eine, in der jeder für sich entscheidet.

Vorfälle dokumentieren

Wenn trotz aller Sorgfalt etwas schiefgeht, wenn Daten an die falsche Stelle geraten oder ein Zugriff erfolgt, der nicht hätte erfolgen dürfen, kommt es auf die Dokumentation an. Die Qualitätsnorm ISO 9001 verlangt in ihrem Abschnitt zur dokumentierten Information, dass festgehalten wird, was geschieht und was entschieden wird. Was für die Qualität gilt, gilt für Vorfälle im Umgang mit Daten ebenso.

Ein dokumentierter Vorfall ist nicht das Eingeständnis eines Versagens, sondern die Grundlage, aus ihm zu lernen und im Zweifel nachzuweisen, dass angemessen reagiert wurde. Wer festhält, was passiert ist, wann es bemerkt wurde und welche Maßnahme folgte, schützt das Projekt und sich selbst. Die Dokumentation ist damit kein bürokratischer Zusatz, sondern Teil derselben Nachvollziehbarkeit, die schon die Governance verlangt.

Transparenz digital gestützter Entscheidungen

Ein Punkt gewinnt an Bedeutung, je stärker Entscheidungen auf digital aufbereiteten Daten beruhen. Wenn eine Kennzahl, eine Auswertung oder ein Systemvorschlag in eine Entscheidung einfließt, muss nachvollziehbar bleiben, worauf diese Entscheidung fußt. Eine Entscheidung, deren Grundlage niemand mehr erklären kann, ist angreifbar, gerade dann, wenn sie später hinterfragt wird.

Transparenz heißt hier, die Grundlage sichtbar zu halten. Woher stammen die Zahlen, wie kamen sie zustande, und welcher Anteil war menschliche Bewertung? Diese Fragen sind besonders dort wichtig, wo digitale Werkzeuge nicht nur Daten anzeigen, sondern selbst Vorschläge erzeugen.

Und der rechtliche Rahmen der künstlichen Intelligenz?

Bei der künstlichen Intelligenz ist der rechtliche Rahmen zuletzt deutlich erweitert worden. Eigene Vorgaben regeln, wie KI-Systeme je nach Anwendungsbereich eingesetzt werden dürfen und welche Pflichten damit verbunden sind. Dieser Beitrag hält bewusst die allgemeine Ebene, weil die Grundhaltung dieselbe bleibt, ob es um ein klassisches Werkzeug oder um eine KI geht. Den rechtlichen Rahmen der künstlichen Intelligenz behandelt der entsprechende Beitrag der KI-Vertiefung eigens.

Der Rahmen steht, die Praxis muss folgen

Datenschutz, Compliance und Recht setzen den äußeren Rahmen, die Governance die innere Ordnung. Beide zusammen legen fest, wie digitale Werkzeuge genutzt werden sollen. Doch Regeln auf dem Papier sind noch keine gelebte Praxis. Zwischen der vereinbarten Nutzung und der tatsächlichen liegt eine Lücke, die keine Regel von allein schließt.

Jemand muss dafür sorgen, dass die Werkzeuge wirklich das leisten, wofür sie gedacht sind, und im richtigen Moment das eigene Urteil einsetzen, wo sie an ihre Grenzen kommen. Davon handelt der letzte Beitrag dieses Blocks.

Die Reihe: Digitale Kompetenz im Projektmanagement — Teil 10 von 15

Alle Teile der Reihe im Überblick

Andreas Frick ist Geschäftsführer der Projektforum Rhein Ruhr GmbH, IPMA Level A zertifizierter Trainer und Autor der Bücher „Projektkompetenz I & II“ (Springer, 2025). Er begleitet seit Jahren Projektmanagerinnen und Projektmanager auf dem Weg zur IPMA-Zertifizierung und entwickelt praxisnahe Lernformate an der Schnittstelle von Projektmanagement und digitaler Transformation.